Passkeys était censé mettre fin au vol de mots de passe. Plus de mots de passe à hameçonner, plus de secrets à réutiliser, et plus de suites de caractères stockées dans une base de données, prêtes à être divulguées.
On pense qu'à terme, les clés d'accès remplaceront complètement les mots de passe. Mais que se passe-t-il lorsqu'un logiciel malveillant vole la clé principale ?
Des chercheurs ont découvert un moyen pour un logiciel malveillant de détourner des comptes protégés par mot de passe via Google Password Manager, mettant en évidence une exception importante : les mots de passe peuvent être très sécurisés, mais les logiciels qui les entourent présentent toujours des faiblesses.
Qu'est-ce qu'un passe-partout ?
Les Passkeys remplacent les mots de passe traditionnels grâce à la cryptographie à clé publique. Au lieu d'un secret à mémoriser et à saisir, chaque compte utilise une paire de clés : la clé privée reste toujours sur vos appareils, et le site web ne voit que la clé publique et les défis signés. Comme il est impossible de les réutiliser pour hameçonner ou les partager sur un autre site, les Passkeys sont présentés comme « inviolables » et plus sûrs que les mots de passe stockés dans un navigateur ou un gestionnaire de mots de passe.
Fin 2024, Google aurait annoncé que 800 millions de comptes Google utilisaient des mots de passe.
Les clés d'accès présentent un avantage majeur par rapport aux mots de passe : elles ne constituent pas une ressource utile à voler pour un site d'hameçonnage. De plus, une clé d'accès est liée au site web pour lequel elle a été créée, ce qui rend l'authentification sur un mauvais domaine beaucoup plus difficile.
L'autre différence majeure réside dans le fait que, si un logiciel malveillant s'empare d'un coffre-fort de mots de passe, un attaquant doit souvent contourner une authentification à deux facteurs sur un autre appareil, comme une application d'authentification sur votre téléphone, avant de prendre pleinement le contrôle du compte. Avec les clés d'accès, de nombreux services qui les utilisent se fient uniquement à l'assertion de la clé, et parfois même à un simple indicateur de « vérification par l'utilisateur » sans confirmer la présence d'une véritable authentification biométrique ou d'un code PIN.
Les logiciels malveillants entrent en jeu
Les chercheurs ont cependant commencé avec un logiciel malveillant infecté. Windows J'ai analysé un ordinateur et identifié trois scénarios d'attaque possibles pour voler les mots de passe synchronisés de Google. Google Password Manager permet de synchroniser les mots de passe entre appareils, ce qui est pratique puisqu'on n'a pas besoin d'enregistrer un nouveau mot de passe à chaque nouvel ordinateur. Cependant, cela les rend également vulnérables aux abus.
Du pire au pire, les attaques sont :
- Pass-ta-key : un logiciel malveillant présent sur l'ordinateur de la victime demande silencieusement Chrome et le cloud de Google pour créer une authentification par clé d'accès valide, sans avoir besoin de données biométriques ni de code PIN.
- Silver Pass-ta-key : ce logiciel malveillant exploite la réinscription de l'appareil pour enregistrer sa propre clé de vérification utilisateur, puis se connecte en tant que victime depuis la machine de l'attaquant sans toucher à l'appareil de la victime.
- Golden Pass-ta-key : Un logiciel malveillant extrait le secret du domaine de sécurité de Google (le maître) chiffrement (clé), décrypte toutes les clés d'accès synchronisées et peut les réutiliser partout, même après avoir perdu l'accès à l'appareil d'origine.
Comment rester en sécurité
Les chercheurs exhortent les services à ne plus se fier aveuglément à l'indicateur de vérification utilisateur et à s'assurer qu'une véritable vérification a bien eu lieu avant d'accorder l'accès. Google, de son côté, est encouragé à renforcer la sécurité de l'enregistrement et de la récupération des appareils, et à vérifier que les nouveaux appareils et clés sont bien associés à du matériel authentique, au lieu de se fier aux apparences.
Pour les utilisateurs finaux, les mots de passe offrent toujours une protection efficace contre les sites d'hameçonnage classiques et les attaques par bourrage d'identifiants basées sur la réutilisation de mots de passe. Le point faible mis en évidence ici ne réside pas tant dans le concept des mots de passe que dans leur mise en œuvre, leur synchronisation et la confiance qui leur est accordée, faute de vérifications suffisantes côté serveur.
Tant que les fournisseurs n'auront pas comblé ces lacunes, une bonne hygiène de sécurité anti-malware reste essentielle. Voici les meilleures façons d'empêcher les logiciels malveillants d'utiliser vos mots de passe :
- Restez à jour : assurez-vous que vos systèmes et logiciels soient corrigés dès que possible.
- Utilisez une protection anti-malware en temps réel et à jour.
- Considérez les pièces jointes ou les liens inattendus comme suspects jusqu'à preuve du contraire.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éliminez les menaces de vos appareils en téléchargeant Malwarebytes dès aujourd'hui.
